Los navegadores son la interfaz principal de GenAI para la mayoría de las empresas, desde LLM y CoPilot basados en la web hasta extensiones impulsadas por GenAI y navegadores de agentes como ChatGPT Atlas. Los empleados aprovechan las capacidades de GenAI para redactar correos electrónicos, resumir documentos, trabajar con código y analizar datos copiando y pegando información confidencial directamente en mensajes o cargando archivos.
Los controles de seguridad tradicionales no fueron diseñados para comprender este nuevo patrón de interacción basada en avisos, lo que deja importantes puntos ciegos donde el riesgo es mayor. Al mismo tiempo, los equipos de seguridad están bajo presión para habilitar más plataformas GenAI debido a ganancias obvias de productividad.
Simplemente bloquear la IA no es realista. Un enfoque más sostenible es proteger la plataforma GenAI donde los usuarios acceden a ella: dentro de sus sesiones de navegador.
Modelo de amenaza del navegador GenAI
El modelo de amenazas en el navegador de GenAI debe abordarse de manera diferente a la navegación web tradicional debido a varios factores clave.
Los usuarios habitualmente pegan documentos completos, códigos, registros de clientes o información financiera confidencial en ventanas emergentes. Esto podría provocar una fuga de datos o un almacenamiento a largo plazo en los sistemas LLM. La carga de archivos plantea riesgos similares cuando los documentos se procesan fuera de los canales de procesamiento de datos aprobados o de los límites regionales, lo que pone a su organización en riesgo de sufrir violaciones reglamentarias. Las extensiones y asistentes del navegador GenAI a menudo requieren permisos amplios para leer y modificar el contenido de la página. Esto incluye datos de aplicaciones web internas que el usuario no tenía intención de compartir con servicios externos. Mezclar cuentas personales y corporativas dentro del mismo perfil de navegador complica la atribución y la gobernanza.
Todos estos comportamientos se combinan para crear una superficie de riesgo que es invisible para muchos controles tradicionales.
Política: Definición de uso seguro en navegadores
Una estrategia de seguridad GenAI habilitada para navegador es una política clara y ejecutable que define lo que significa «uso seguro».
Los CISO deben clasificar las herramientas GenAI como servicios autorizados y permitir o no herramientas y aplicaciones públicas con diferentes tratamientos de riesgo y niveles de monitoreo. Después de establecer límites claros, las empresas pueden ajustar la aplicación a nivel del navegador para garantizar que la experiencia del usuario coincida con la intención de la política.
Una política sólida consiste en especificar que los tipos de datos nunca se permiten en las solicitudes o cargas de GenAI. Las categorías restringidas comunes incluyen datos personales regulados, detalles financieros, información legal, secretos comerciales, código fuente, etc. Además, el lenguaje de las políticas debe ser específico y aplicarse de manera consistente a través de controles técnicos, en lugar de depender del criterio del usuario.
Barandillas de comportamiento que los usuarios pueden tolerar
Las empresas necesitan barreras de seguridad que no solo permitan o no aplicaciones, sino que también definan cómo los empleados pueden acceder y utilizar GenAI en sus navegadores. Al exigir un inicio de sesión único y una identificación corporativa para todos los servicios GenAI autorizados, puede aumentar la visibilidad y el control y, al mismo tiempo, reducir la probabilidad de que sus datos se almacenen en cuentas no administradas.
El manejo de excepciones es igualmente importante, ya que equipos como los de investigación y marketing pueden requerir un acceso GenAI más permisivo. Es posible que se necesiten barreras de seguridad más estrictas en áreas como las financieras y jurídicas. Un proceso formal para solicitar excepciones a políticas, aprobaciones basadas en tiempo y ciclos de revisión brinda flexibilidad. Estos elementos de comportamiento hacen que los controles técnicos sean más predecibles y aceptables para los usuarios finales.
Aislamiento: contener el riesgo sin comprometer la productividad
El aislamiento es el segundo pilar importante para proteger el uso de GenAI basado en navegador. En lugar de un modelo binario, las organizaciones pueden utilizar ciertos enfoques para reducir el riesgo al acceder a GenAI. Por ejemplo, un perfil de navegador dedicado crea un límite entre las aplicaciones internas sensibles y los flujos de trabajo intensivos de GenAI.
Los controles por sitio y por sesión proporcionan otra capa de defensa. Por ejemplo, los equipos de seguridad pueden permitir el acceso de GenAI a dominios «seguros» designados y, al mismo tiempo, restringir la capacidad de las herramientas y extensiones de IA para leer contenido de aplicaciones altamente confidenciales, como sistemas ERP o de recursos humanos.
Este enfoque permite a los empleados continuar usando GenAI para tareas comunes y, al mismo tiempo, reduce la posibilidad de que se compartan datos confidenciales con herramientas de terceros a las que se accede desde el navegador.
Control de datos: DLP de alta precisión para mensajes y páginas
Las políticas definen la intención y la segregación limita la exposición. Los controles de datos proporcionan mecanismos de aplicación precisos en el borde del navegador. Es importante inspeccionar las acciones del usuario, como copiar y pegar, arrastrar y soltar, y carga de archivos en el momento en que el usuario abandona la aplicación confiable e ingresa a la interfaz GenAI.
Una implementación efectiva debe admitir múltiples modos de cumplimiento, incluido el monitoreo únicamente, advertencias a los usuarios, educación oportuna y bloqueo estricto de tipos de datos específicamente prohibidos. Este enfoque paso a paso ayuda a reducir la fricción del usuario y al mismo tiempo previene infracciones graves.
Administrar las extensiones del navegador GenAI
Las extensiones de navegador y los paneles laterales basados en GenAI son una categoría de riesgo complicada. Muchos ofrecen funciones útiles como resumen de páginas, creación de respuestas y extracción de datos. Sin embargo, hacerlo a menudo requiere amplios permisos para leer y modificar el contenido de la página, las pulsaciones de teclas y los datos del portapapeles. Si no se pasan por alto, estas extensiones pueden convertirse en un canal para la filtración de información confidencial.
Los CISO deben conocer las extensiones impulsadas por IA que se utilizan en sus empresas, clasificarlas por nivel de riesgo y hacer cumplir listas de permitidos limitados o denegados predeterminados. La supervisión continua de las extensiones recién instaladas o actualizadas mediante Secure Enterprise Browser (SEB) puede ayudarle a identificar cambios en los permisos que pueden introducir nuevos riesgos con el tiempo.
Identidad, cuenta y estado de la sesión
El manejo de identidades y sesiones es fundamental para la seguridad del navegador GenAI, ya que determina qué datos pertenecen a qué cuenta. Aplicar SSO a las plataformas GenAI autorizadas y vincular el uso a la identidad corporativa simplifica el registro y la respuesta a incidentes. Los controles a nivel del navegador ayudan a evitar el acceso cruzado entre contextos laborales y personales. Por ejemplo, las organizaciones pueden bloquear la copia de contenido de aplicaciones corporativas a aplicaciones GenAI si los usuarios no están autenticados con una cuenta corporativa.
Visibilidad, telemetría y análisis
En última instancia, la eficacia de su programa de seguridad GenAI depende de saber exactamente cómo sus empleados utilizan sus herramientas GenAI basadas en navegador. Todo lo que necesita es realizar un seguimiento de a qué dominios y aplicaciones se accede, qué se ingresa en las indicaciones y con qué frecuencia las políticas activan advertencias o bloqueos. Al agregar esta telemetría a la infraestructura SIEM y de registro existente, los equipos de seguridad pueden identificar patrones, anomalías e incidentes.
Los análisis basados en estos datos pueden ayudar a resaltar los riesgos reales. Por ejemplo, las empresas pueden determinar claramente qué código fuente no es confidencial y cuál es propietario en un mensaje. Con esta información, los equipos del SOC pueden perfeccionar las reglas, ajustar los niveles de aislamiento y orientar la capacitación para lograr el máximo impacto.
Gestión del cambio y educación de los usuarios.
Los CISO que han implementado con éxito programas de seguridad GenAI invierten tiempo en explicar el «por qué» detrás de las restricciones. Al compartir escenarios específicos que resuenan con diferentes roles, puede reducir las posibilidades de que el programa falle. Los desarrolladores necesitan ejemplos relacionados con la propiedad intelectual, mientras que el personal de ventas y soporte se beneficia de historias sobre la confianza del cliente y los detalles del contrato. Compartir contenido basado en escenarios con las partes interesadas refuerza los buenos hábitos en el momento adecuado.
Cuando los empleados comprenden que las barreras de seguridad están diseñadas para preservar, en lugar de obstaculizar, su capacidad para utilizar GenAI a escala, es más probable que sigan las pautas. Al alinear los esfuerzos y las comunicaciones más amplios de gobernanza de la IA, puede posicionar los controles a nivel del navegador como parte de una estrategia general en lugar de una estrategia separada.
Un enfoque práctico de implementación de 30 días
Muchas organizaciones están buscando un camino práctico para pasar del uso ad hoc de GenAI basado en navegador a un modelo estructurado basado en políticas.
Una forma eficaz de hacerlo es aprovechando una plataforma de navegación empresarial segura (SEB) que pueda brindarle la visibilidad y el alcance que necesita. Con el SEB adecuado, puede mapear las herramientas GenAI actuales en uso dentro de su empresa, lo que le permitirá tomar decisiones políticas, como el modo de solo monitorear o el de advertencia y educación para comportamientos claramente riesgosos. En las próximas semanas, podremos ampliar la cobertura a más usuarios, tipos de datos de alto riesgo, preguntas frecuentes y capacitación.
Al final del período de 30 días, muchas organizaciones pueden formalizar las políticas del navegador GenAI, integrar alertas en los flujos de trabajo de SOC y establecer una cadencia para ajustar los controles a medida que cambia el uso.
Convierta su navegador en un plano de control GenAI
A medida que GenAI continúa difundiéndose en aplicaciones SaaS y páginas web, el navegador sigue siendo la interfaz central a través de la cual la mayoría de los empleados acceden a ellos. La mejor protección GenAI no puede integrarse en los controles perimetrales tradicionales. Las empresas pueden lograr los mejores resultados si tratan el navegador como el plano de control principal. Este enfoque proporciona a los equipos de seguridad una forma significativa de reducir los riesgos de cumplimiento y violación de datos, manteniendo al mismo tiempo los beneficios de productividad que hacen que GenAI sea tan poderoso.
Con políticas bien diseñadas, estrategias de aislamiento bien pensadas y protección de datos nativa del navegador, los CISO pueden pasar del bloqueo reactivo a habilitar con confianza GenAI a escala en toda la fuerza laboral.
Para obtener más información sobre Secure Enterprise Browser (SEB) y cómo su organización puede utilizar GenAI de forma segura, comuníquese con los expertos de Seraphic.
Source link
